Политика конфиденциальности

Что нам не нужно

Имя, телефон, почта, паспорт — не спрашиваем и не храним. Аккаунт в боте — это числовой идентификатор вашего телеграма. Аккаунт на сайте — случайный идентификатор и код восстановления, от которого мы храним только хеш: восстановить сам код из нашей базы нельзя, поэтому и украсть его оттуда нельзя.

Что мы храним

Полный список, по одному пункту на строку жизни сервиса:

Аккаунт. Идентификатор телеграма (число) — или случайный идентификатор сайта и хеш кода восстановления. Если вы привязали телеграм к аккаунту сайта — связь между ними.

Деньги. Баланс, история пополнений и суточных списаний: сумма, дата, статус, идентификатор транзакции платёжной системы. Реквизиты карт и кошельков до нас не доходят — их видит только платёжная система.

Доступ. Ваша ссылка-подписка и её служебные идентификаторы; счётчик трафика — сколько израсходовано за текущие сутки или месяц и суммарно за всё время. Счётчик — это одно число, а не список сайтов: из него принципиально нельзя узнать, куда вы ходили.

Устройства. Часть приложений при обновлении подписки передаёт модель устройства, версию ОС и идентификатор установки — панель сохраняет их вместе с IP-адресом, с которого пришёл запрос. Это самая болтливая строка нашего списка, мы прямо на неё смотрим как на кандидата к сокращению. Пока она есть — она здесь написана.

Общение. Переписка с поддержкой, ответы на опросы про качество, реферальные связи («кто кого пригласил» — это связь двух аккаунтов, она нужна для начисления бонусов).

Чего мы не храним — и почему это проверяемо

Мы не ведём журнала вашей активности: ни истории посещённых сайтов, ни DNS-запросов, ни содержимого трафика, ни привязки «этот пользователь в это время ходил туда-то». Из этого следует практическое: на запрос «кто из ваших пользователей заходил на такой-то сайт» нам нечего выдать — записи, которая отвечает на этот вопрос, не существует ни в какой момент времени. Это не обещание стойкости под давлением, это свойство архитектуры.

История расхода трафика по дням тоже не ведётся: счётчик суток затирает вчерашний, месячный обнуляется раз в месяц.

Технические журналы — честная сноска

Три вещи, которые пишутся, и мы говорим о них прямо. Ядро VPN-сервера ведёт отладочный журнал в кольцевом буфере в несколько мегабайт — он затирается по мере работы за часы, никуда не выгружается и не архивируется. Веб-прокси перед сайтом и страницей подписки ведёт стандартный журнал доступа (IP-адрес, путь, время) — он нужен для защиты от атак и отладки и ротируется. Сбои приложений сервиса пишутся в служебный журнал ошибок без привязки к вашей активности в туннеле.

Мы сокращаем этот раздел, а не расширяем: цель — чтобы журналов, в которых ваш адрес стоит рядом с вашим идентификатором, не было вовсе.

Кто ещё что-то видит

Telegram — бот живёт внутри него, ваша переписка с ботом существует и на серверах Telegram по их правилам. Платёжная система видит ваши платёжные реквизиты при оплате — как при любой онлайн-покупке; нам от неё приходит только «столько-то, тогда-то, прошло». Инфраструктурные провайдеры — хостинг и сети доставки — видят технические метаданные соединений с сайтом и страницей подписки, как их видит любой транзитный узел интернета.

На сайте нет рекламных трекеров, счётчиков и аналитики третьих сторон — вообще никаких. Мы никому не продаём и не передаём данные; передать их «для рекламы» невозможно ещё и потому, что передавать нечего.

Удаление

Напишите в поддержку в боте — удалим аккаунт: профиль, ссылку-подписку, счётчики, записи об устройствах, реферальные связи, переписку с поддержкой. Остаток баланса перед этим вернём (см. соглашение, раздел 4). Записи о проведённых платежах остаются в том виде, в каком их требует платёжная система — на нашей стороне это сумма, дата и статус без связи с удалённым профилем.

Изменения

Новая редакция публикуется на этой странице с датой наверху. Если изменение расширяет список хранимого — мы сообщаем об этом в боте отдельно, до вступления в силу, а не после.